Förhindra hackning med lösenordssprickningsåtgärder - dummies

Om du tar några allmänna motåtgärder kan du förhindra hackning av dina viktiga lösenord. Ett lösenord för ett system motsvarar vanligtvis lösenord för många andra system eftersom många använder samma lösenord på varje system de använder. Av den anledningen kan du överväga att instruera användare att skapa olika lösenord för olika system, särskilt på de system som skyddar information som är känsligare.

Den enda nackdelen med detta är att användarna måste behålla flera lösenord och kan därför frestas att skriva ner dem, vilket kan negera några fördelar.

Förvaring av lösenord

Om du måste välja mellan svaga lösenord som dina användare kan memorera och starka lösenord som dina användare måste skriva ner, skriv läsarna ner lösenord och lagra informationen på ett säkert sätt. Träna användare att lagra sina skriftliga lösenord på ett säkert ställe - inte på tangentbord eller i lätt sprickade lösenordsskyddade datafiler. Användare bör lagra ett skriftligt lösenord på någon av dessa platser:

• En låst filskåp eller kontorsäker

• Full (hela) diskkryptering som kan hindra en inkräktare från någonsin att komma åt operativsystemet och lösenorden som är lagrade på systemet.

• Ett säkert lösenordshanteringsverktyg som

  • LastPass

  • Lösenordsäker, en öppen källkodsprogramvara som ursprungligen utvecklats av Kontrarepanelen

Lösenordspolicyer

Som en etisk hacker bör du visa användarna vikten av att säkra deras lösenord. Här är några tips om hur du gör det:

• Visa hur du skapar säkra lösenord. Hänvisa till dem som lösenordsordningar eftersom människor brukar skriva lösenord och bara använda ord som kan vara mindre säkra.

• Visa vad som kan hända när svaga lösenord används eller lösenord delas.

• Skapa noggrant användarmedvetenheten om socialteknikattacker.

Förbättra (eller åtminstone uppmuntra användningen av) en stark lösenordsskapande politik som innehåller följande kriterier:

• Använd stora och små bokstäver, specialtecken och siffror. Använd aldrig enda nummer. Sådana lösenord kan vara sprickade snabbt.

• Misspell ord eller skapa akronymer från ett citat eller en mening. Exempelvis ASCII är en akronym för American Standard Code for Information Interchange som också kan användas som en del av ett lösenord.

• Använd skiljetecken för att skilja ord eller akronymer.

• Byt lösenord varje 6 till 12 månader eller omedelbart om de misstänks att de äventyras. Något vanligare introducerar ett besvär som endast tjänar till att skapa fler sårbarheter.

• Använd olika lösenord för varje system. Detta är särskilt viktigt för värden för nätverksinfrastruktur, som servrar, brandväggar och routrar. Det är okej att använda liknande lösenord - gör dem lite annorlunda för varje typ av system, till exempel SummerInTheSouth-Win7 för Windows-system och Linux + SummerInTheSouth för Linux-system.

• Använd lösenord med variabellängd. Det här tricket kan kasta bort angripare eftersom de inte känner till den nödvändiga minsta eller maximala längden på lösenord och måste prova alla kombinationer av lösenordslängd.

• Använd inte vanliga slangord eller ord som finns i en ordlista.

• Lita inte helt på likartade tecken, till exempel 3 istället för E, 5 istället för S, eller ! istället för 1. Lösenordsbrytande program kan kontrollera detta.

• Använd inte samma lösenord inom minst fyra till fem lösenordsändringar.

• Använd lösenordsskyddade skärmsläckare. Oupplåsta skärmar är ett bra sätt för system att kompromissa även om hårddiskarna är krypterade.

• Dela inte lösenord. Till var och en sin egen!

• Undvik att lagra användarlösenord på ett oskyddat centralt läge , t.ex. ett oskyddat kalkylblad på en hårddisk. Detta är en inbjudan till katastrof. Använd Password Safe eller ett liknande program för att lagra användarlösenord.

Övriga motåtgärder

Här är några andra modifieringar mot lösenordshackning:

• Aktivera säkerhetsrevision för att övervaka och spåra lösenordsattacker.

• Testa dina program för att se till att de inte lagrar lösenord i obestämd tid i minnet eller skriv dem till disken. Ett bra verktyg för detta är WinHex.

• Håll dina system lappade. Lösenorden återställs eller äventyras under buffertöverflyttningar eller andra beteendeförhållanden (DoS).

• Känn dina användar-ID. Om ett konto aldrig har använts, radera eller inaktivera kontot tills det behövs. Du kan bestämma oanvända konton manuellt eller genom att använda ett verktyg som DumpSec, ett verktyg som kan räkna upp operativsystemet Windows och samla användar-ID och annan information.

Som säkerhetsadministratör i din organisation kan du aktivera kontoavstängning för att förhindra lösenordsprickning. Kontoavstängning är möjligheten att låsa användarkonton under en viss tid efter det att ett visst antal misslyckade inloggningsförsök har inträffat. De flesta operativsystem har denna kapacitet.

Ställ det inte för lågt och ställ inte in det för högt för att ge en skadlig användare större chans att bryta in. Någonstans mellan 5 och 50 kan fungera för dig. Tänk på följande när du konfigurerar kontoavstängning på dina system:

• För att använda kontoutlåsning för att förhindra eventuella användares DoS-villkor krävs två olika lösenord och ställer inte in en spärrtid för den första om den funktionen är tillgänglig i ditt operativsystem.

• Om du tillåter autoresetning av kontot efter en viss period - ofta kallad inkräktare - ställ inte in en kort tidsperiod.Trettio minuter fungerar ofta bra.

En misslyckad inloggningsräknare kan öka lösenordsäkerheten och minimera de övergripande effekterna av kontoutlockning om kontot upplever en automatiserad attack. En inloggningsräknare kan tvinga ett lösenordsbyte efter ett antal misslyckade försök. Om antalet misslyckade inloggningsförsök är högt och inträffat under en kort period har kontot troligt upplevt ett automatiskt lösenordsangrepp.

Andra motåtgärder för lösenordsskydd inkluderar

• Starkare autentiseringsmetoder. Exempel på dessa är utmaning / svar, smarta kort, symboler, biometri eller digitala certifikat.

• Automatisk återställning av lösenord. Med denna funktionalitet kan användare hantera de flesta av sina lösenordsproblem utan att involvera andra. Annars blir denna supportfråga dyr, speciellt för större organisationer.

• Lösenordsskyddad system BIOS. Detta är särskilt viktigt på servrar och bärbara datorer som är känsliga för fysiska säkerhetshot och sårbarheter.